Pot un VPN dins d'una VM amagar el trànsit de l'amfitrió?

Instal·leu el client dins d'una màquina virtual, el túnel s'aixeca i el trànsit del convidat s'encripta. Això val una mica contra la xarxa de fora de la màquina. Val molt menys contra el sistema operatiu que executa el convidat, que pot llegir-ne la memòria i observar-ne la pantalla. Les comprovacions següents separen què protegeix el túnel d'allò que l'amfitrió conserva.

L'amfitrió llegeix el text pla abans que el túnel

Un hipervisor d'escriptori dóna temps de CPU al convidat i pot llegir la memòria que escriu, inclosa la pàgina que el navegador acaba de desxifrar. Una eina de monitoratge a l'amfitrió llegeix aquest text pla sense atacar el xifrat, i un registrador de teclat al mateix nivell recull les pulsacions abans que cap client les emboliqui. Res d'això no necessita un VPN trencat, així que un túnel net pot conviure amb un amfitrió instrumentat.

El que aquesta posició no lliura són les claus de l'extrem remot, ni el contingut que un altre extrem protegeix d'extrem a extrem. El túnel encara aguanta contra la xarxa que travessa; el forat és local.

Els artefactes sobreviuen a la sessió

Pauseu un convidat de VirtualBox i al costat apareix un fitxer .sav amb l'estat de memòria desat. VMware deixa fitxers .vmem i .vmsn durant la suspensió i les instantànies, i els punts de control d'Hyper-V fan créixer discs de diferència .avhdx al volum de l'amfitrió. Cap d'aquests fitxers no l'encripta el xifrat de disc del convidat. El fitxer de paginació de l'amfitrió també pot rebre pàgines que l'hipervisor ha expulsat, el rastre del qual Tails avisa a la seva guia de virtualització. Comproveu si l'hipervisor conserva instantànies i si l'intercanvi de l'amfitrió és en un volum encriptat.

Decidiu una regla de retenció per a aquests fitxers en lloc de confiar en el valor per defecte, que els conserva fins que algú els esborra. Un convidat que anuncia una sessió amnèsica no canvia res d'això; el fitxer l'escriu l'amfitrió, així que mana la política de l'amfitrió. Si no podeu dir on viuen les instantànies ni qui les pot obrir, el disseny del convidat no s'ha avaluat.

El xifrat de disc cobreix un cas més estret

Xifrar el disc del convidat protegeix una imatge en repòs, un volum portat a una altra màquina o una còpia de seguretat que s'escapa. No fa res mentre el convidat s'executa, perquè l'hipervisor llegeix la memòria després que el convidat l'hagi desxifrada. Tracteu la contrasenya com a protecció de les còpies desades, no com a escut contra la màquina que executa la VM.

Les claus i l'execució en viu són qüestions separades. En un entorn allotjat o compartit, el proveïdor pot guardar les claus de la imatge mentre executa el convidat en maquinari que no inspeccioneu mai, així que anoteu les dues respostes.

El transport no és la mateixa vista

Qui transporta el túnel del convidat veu els extrems exteriors, el moment i el volum, fins i tot quan la càrrega útil queda tancada. Les metadades d'aquesta forma sovint responen la pregunta que l'observador té realment, així que tracteu-les com a part de l'exposició i no com a soroll. El mode d'adaptador i l'encaminament decideixen si les regles de VPN a nivell d'amfitrió toquen gens el trànsit del convidat.

Proveu-ho des de dins del convidat, no des d'un navegador a l'amfitrió. Un navegador de l'amfitrió pot estar cobert mentre el convidat s'enllaça directament a fora, i tots dos poden compartir una connexió mentre fan servir rutes diferents. Anoteu el mode d'adaptador i després reviseu una captura a la interfície física de l'amfitrió en lloc de confiar en una suposició.

Estrebeu els passos, després escriviu el registre

Executeu el convidat en maquinari que controleu, manteniu l'hipervisor actualitzat i activeu les carpetes compartides, el porta-retalls compartit i l'arrossegar només on la feina ho necessita. Cadascun és un canal entre amfitrió i convidat, i el valor per defecte de sèrie sol ser més obert del que la tasca requereix. Desactiveu les addicions del convidat que no feu servir i després confirmeu que els paràmetres sobreviuen a un reinici, perquè una actualització pot restaurar el que vau desactivar.

Aquests passos estreten els passos; no converteixen el convidat en una frontera de confiança física separada. Tractar una VM endurida com a tal és on les avaluacions de risc solen fallar.

Per a feina sensible, anoteu com s'encamina el trànsit i quins sistemes locals executen i conserven la càrrega de treball. Afegiu qui controla l'amfitrió i quins fitxers sobreviuen a la sessió. Una nota de privadesa que només llista el túnel descriu la meitat de l'acord.